Доступ в инет из закрытой сети

[storm2005]

Имеем закрытую сетку к серверам которой имеем доступ с внешнего сервера по ssh. С серверов закртой сети ни к миру ни к extserver доступа нет. Также в закрытой сетке нет dns.
Каким образом реализовать доступ серверов из закрытой сетки к инету:

1. при загрузке, например, в pre-OS среду, аля lifecycle controller или какой-нибудь livecd.
2. из самой ОС, например, для доступа к репозиториям.

Код: Выделить всё

inserver1 (6.6.6.1, 10.0.0.1)
inserver2 (6.6.6.2, 10.0.0.2)
extserver (7.7.7.1)

Пока додумался лишь прокинуть 80 порт.

# on extserver

Код: Выделить всё

ssh -R 2222:localhost:22 6.6.6.2

# on inserver2

Код: Выделить всё

ssh -D 10.0.0.2:80 -p 2222 localhost

# on inserver1

Код: Выделить всё

nc -vw5 10.0.0.2 80
Connection to 10.0.0.2 80 port [tcp/http] succeeded!

Но это какие-то неоконченные невменяемые костыли. Видится мне, что один из серверов в закрытой сетке должен взять на себя роль gw и dns. Хотелось бы услышать best practice решения подобной задачи.

[Bizdelnick]

Видится мне, что один из серверов в закрытой сетке должен взять на себя роль gw и dns.

Логично. Только тогда сетка перестанет быть закрытой. Тут уж надо выбирать одно из двух.

[storm2005]

Видится мне, что один из серверов в закрытой сетке должен взять на себя роль gw и dns.

Логично. Только тогда сетка перестанет быть закрытой. Тут уж надо выбирать одно из двух.

Хотелось бы услышать реализацию в общих чертах.
То есть мне прокинуть с внешнего сервера ssh тунель, как я описал выше, на один из внутренних серверов, а уже на нем трафик заворачивать в этот порт? Как заворачивать DNS запросы? Опишите схему где что поднимать. Где тунель на базе ssh, где iptables, нужен ли nat и squid.

[HorekRediskovich]

Видится мне, что один из серверов в закрытой сетке должен взять на себя роль gw и dns.

Логично. Только тогда сетка перестанет быть закрытой. Тут уж надо выбирать одно из двух.

Хотелось бы услышать реализацию в общих чертах.
То есть мне прокинуть с внешнего сервера ssh тунель, как я описал выше, на один из внутренних серверов, а уже на нем трафик заворачивать в этот порт? Как заворачивать DNS запросы? Опишите схему где что поднимать. Где тунель на базе ssh, где iptables, нужен ли nat и squid.

если будете делать gw то nat нужен как и iptables (ваш кэп)
А вот по поводу завертывания в тунель ИМХО тут iptables для маркировки пакетов, iproute для настройки заворачивания роутинга

З.ы. вот мне интересно, говорите что сеть закрытая, но при этом коннектитесь по ssh. Эм через астрал что ли? Как это вообще у вас организовано, может стоит на том сервре который пропускает внутрь ssh и допилить гейт.

[storm2005]

З.ы. вот мне интересно, говорите что сеть закрытая, но при этом коннектитесь по ssh. Эм через астрал что ли? Как это вообще у вас организовано, может стоит на том сервре который пропускает внутрь ssh и допилить гейт.

Трафик идет в DC где гуляет по различным фаерволам и доходит до конкретных серверов на ssh management interface. Между серверами внутри есть связь, по крайней мере я могу пропинговать ssh management interface серверов по внутреним ip. Также есть доступ по IPMI. С самих серверов доступа нет. Так что первичное соединение необходимо инициировать с кокретного внешнего сервера с которого разрешен доступ по ssh и IPMI. Вот такой астрал.

[HorekRediskovich]

З.ы. вот мне интересно, говорите что сеть закрытая, но при этом коннектитесь по ssh. Эм через астрал что ли? Как это вообще у вас организовано, может стоит на том сервре который пропускает внутрь ssh и допилить гейт.

Трафик идет в DC где гуляет по различным фаерволам и доходит до конкретных серверов на ssh management interface. Между серверами внутри есть связь, по крайней мере я могу пропинговать ssh management interface серверов по внутреним ip. Также есть доступ по IPMI. С самих серверов доступа нет. Так что первичное соединение необходимо инициировать с кокретного внешнего сервера с которого разрешен доступ по ssh и IPMI. Вот такой астрал.

Примерно понял, DC это у вас датацент? или домен контролер?

[storm2005]

Примерно понял, DC это у вас дата цент? или домен контролер?

Хорошая шутка ))) датацентр.

[Bizdelnick]

https://debian-handbook.info/browse/ru-RU/s...ml#sect.ssh-vpn
http://sleepyhead.de/howto/?href=vpn
Но я бы для начала посмотрел, нельзя ли обойтись без туннелирования через SSH (использовать GRE, например).